适用范围
本 Cookie 政策说明 Lansum International Corp. 如何在 iMaster 中使用 Cookie 和类似技术，并应与隐私政策一并阅读。
Cookie 是浏览器保存的小型文本值。类似技术包括浏览器本地存储、OAuth 状态、Service Worker 缓存和推送订阅记录。其中部分技术不使用传统 Cookie，但用于相近的安全或功能目的。
当前仅使用必要技术
iMaster 目前仅使用身份验证、安全、账户连接流程、PWA 运行、离线支持、推送通知和必要偏好所需的 Cookie 及类似技术。我们目前不使用广告 Cookie、跨情境行为广告像素或第三方广告画像。
这些技术是提供您请求的功能或保护服务所必需的；禁用后可能导致登录、券商授权、会话连续性、离线功能或通知无法正常工作。
我们使用的技术
身份验证与会话 Cookie
NextAuth/Auth.js 会话 Cookie 用于维持 iMaster 登录状态。根据 HTTPS 配置，名称可能包括 next-auth.session-token、__Secure-next-auth.session-token、authjs.session-token 或同等安全名称。当前配置的最长会话期约为 30 天；退出登录、重置本地状态、清除浏览器数据或安全控制使其失效时，可能更早结束。
安全与 OAuth Cookie
短期 CSRF、state、nonce、PKCE、回调和授权尝试值用于在登录或连接流程中防止请求伪造、重放、账户混淆和重定向攻击，通常会在流程结束或较短安全窗口后失效。
必要偏好与浏览器状态
浏览器可能保留语言、安装、更新、界面或必要功能状态。具体期间取决于功能和浏览器设置，且不超过提供该功能所合理必要的时间。
Service Worker 与缓存
iMaster PWA 的 Service Worker 会缓存离线外壳及公开或带版本的静态资源，例如图标和应用代码。身份验证响应、API、包含账户数据的页面导航、组合信息、持仓、交易及 OAuth 回调不会被有意缓存供离线使用。
推送订阅
您主动启用推送通知后，浏览器会创建推送端点和加密投递密钥，并传送给通知服务以发送所请求的通知。您可以通过 iMaster 设置或浏览器/设备控制撤销权限。
运营事件与日志
登录后，服务可能记录有限的 PWA 事件，例如可安装、已安装、独立模式启动、离线状态或有可用更新，并关联平台标签和账户标识。这些事件用于服务运营和可靠性，而非广告。
第三方域名
当您选择登录、连接券商或访问外部链接时，可能跳转至 Lansum Auth、SnapTrade、Plaid、Webull、券商或其他服务商运营的域名。服务商可能根据其自身隐私政策在该域名设置 Cookie；iMaster 无法控制完全由第三方域名设置的 Cookie。
我们目前不在 iMaster 页面嵌入第三方广告网络。云托管和安全服务商可能处理交付和保护服务所需的普通请求信息。
您的选择
- 浏览器控制：多数浏览器允许查看、删除或阻止 Cookie 和网站数据。阻止必要 Cookie 可能使登录和安全连接流程失效。
- 退出或重置：退出登录会清除或使当前 iMaster 会话失效；浏览器的网站数据控制可删除其他本地存储和缓存。
- 推送控制：可通过 iMaster 通知设置或浏览器/设备权限关闭推送。撤销被处理后，将停止后续浏览器推送。
- 移除 PWA：卸载 PWA 会删除已安装应用入口；根据浏览器不同，您可能还需单独清除网站数据或通知权限。
- 券商服务商：服务商或机构 Cookie 应通过其网站或浏览器控制进行管理。
Do Not Track 与 Global Privacy Control
“Do Not Track”尚无统一技术或法律标准，因此 iMaster 不响应普通 DNT 信号。对于法律适用的出售或共享个人信息退出偏好信号（如 Global Privacy Control），我们会予以识别。由于 iMaster 目前不出售个人信息，也不为跨情境行为广告共享信息，收到该信号不会改变当前 Cookie 行为。
保留期限
会话和安全技术仅在其配置的安全或功能期间内存在。缓存的公开资源会保留至更新、到期、被浏览器清理或由您删除。推送订阅会保留至撤销、到期、替换或删除。运营日志仅在安全、可靠性、审计和法律目的所合理必要的期间内保留，详情见隐私政策。
变更与联系
如将来引入可选分析、广告或其他非必要技术，我们会更新本政策，并在使用前提供法律要求的同意或退出控制。
有关问题可通过联系我们页面或邮件 security@lansum.com 提交。